[gelöst] PW des OpenVPN-Keys nicht im gnome-keyring speicher

[ingo2]

OpenVPN auf meinem Laptop geht einwandfrei, nutze ich ab und zu von Unterwegs, um über den heimischen DSL-Anschluß ins Internet zu gehen und zu telefonieren (LinPhone).

Mein Problem ist folgendes (Jessie und XFCE):
Ich habe das VPN mit Schlüsseln konfiguriert und der private Schlüssel auf dem Laptop ist mit einem guten Passwort gesichert. Bei der Default-Installation kommt natürlich der gnome-keyring auf die Platte und der bekommt einen ~/.local/share/keyrings/login.keyring und der wird immer beim Login aufgesperrt. Wenn ich jetzt mit dem Network-Manager eine VPN-Verbindung aufbaue, fragt er mich nach dem Passwort für den VPN-Key und legt es dann im login.keyring ab.

Das ist in meinen Augen ein großes Sicherheitsrisiko, da ich VPN nur sporadisch nutze, der login.keyring ist aber immer aufgesperrt, sobald ich angemeldet bin.

Ich habe jetzt versucht, den gnome-keyring-daemon etwas zu zähmen:
/etc/pam.d/lightdm editiert und diese beiden Zeilen auskommentiert

Code: Alles auswählen

# -auth optional pam_gnome_keyring.so
# -session optional        pam_gnome_keyring.so auto_start

jetzt startet der daemon nicht mehr beim Login und der keyring bleibt zu.
Wenn ich dann aber VPN aktiviere, fragt der NM brav nach dem Passwort für den VPN-Key und Verbindung wird dann aufgebaut.
Aber auch der gnome-keyring-daemon startet wieder und legt einen neuen "~/.local/share/keyrings/Standard-Schlüsselbund.keyring" an und packt darein wieder meinen VPN-key-Passwort. Den Keyring sperrt er nie wieder ab, obwohl das PW nur 1x kurz gebraucht wird. -- für mich wirklich ein SICHERHEITS-RISIKO!

Ich habe das jetzt auf die brutale Weise unterbunden:
Die Dateien

Code: Alles auswählen

~/.local/share/keyrings/Standard-Schlüsselbund.keyring
~/.local/share/keyrings/login.keyring

gelöscht und dann dem Daemon den Start ganz verboten:

Code: Alles auswählen

# chmod -x /usr/bin/gnome-keyring-daemon

jetzt ist Ruhe. Aber das kann doch nicht die Lösung sein?

Gibt es eine Möglichkeit, dem NM zu sagen/konfigurieren, das PW für VPN-Verbindungen jedes Mal zu erfragen und nicht zu speichern?

Gruß, Ingo

[ingo2]

Dazu habe ich heute die Lösung im Heise-Forum bekommen:
http://www.heise.de/forum/Open-Source/N ... 6850/show/

Ganz einfach - wenn man es weiß:
/etc/NetworkManager/system-connections/<VPN-Name> editieren

geändert, bzw. ergänzt:

Code: Alles auswählen

password-flags=2
cert-pass-flags=2

und dann ein 'nmcli connection reload' und alles ok!

Ingo